¿Qué busca el comprador de un software de riesgo de proveedores en una licitación?
El comprador de un software de gestión del riesgo de proveedores busca cumplir una obligación que crece: se le considera responsable de su cadena de terceros, y debe exigir pruebas a proveedores que, por su parte, no tienen ninguna obligación de producirlas. Los textos que lo obligan son públicos: NIS2 para la ciberseguridad, DORA para la resiliencia operativa de las entidades financieras, y la norma ISO/IEC 27036 para la seguridad en las relaciones con proveedores. DORA es un reglamento de la Unión Europea aplicable en la UE. NIS2 es una directiva de la Unión Europea en curso de transposición al Derecho nacional. La obligación de diligencia debida sobre la cadena de proveedores se rige por el derecho nacional aplicable en cada mercado. Su temor es no ver venir el riesgo de un tercero, y no poder probar que ha actuado.
Para un proveedor, la consecuencia es directa: la respuesta que vende un cuestionario de proveedores más pierde, porque el comprador ya tiene uno; la respuesta que muestra cómo cubrir el riesgo de principio a fin, automatizar la recopilación de pruebas y documentar el cumplimiento gana.
¿Qué dimensiones debe probar un software de riesgo de proveedores?
Una respuesta se juzga sobre cuatro dimensiones, porque son las que deciden si el comprador cumple realmente su obligación.
| Dimensión | Lo que teme el comprador | Lo que debe probar el proveedor |
|---|---|---|
| Cobertura del riesgo | un punto ciego sobre un tipo de riesgo de terceros | ciber, financiero, operativo, extrafinanciero |
| Recopilación automatizada | perseguir a los proveedores | el recordatorio, la recopilación y la puntuación de las respuestas |
| Cumplimiento documentado | no poder probar la acción | la trazabilidad oponible ante un regulador |
| Multinivel | ver solo el nivel inmediato | la visibilidad sobre los proveedores de los proveedores |
Una respuesta que prueba estas cuatro dimensiones responde a la obligación del comprador; una respuesta centrada en el envío de cuestionarios solo cubre una parte.
¿Cómo se puntúa una respuesta a una licitación de riesgo de proveedores?
La respuesta se puntúa sobre un cuestionario ponderado por ámbito de riesgo y por capacidad, a menudo seguido de una demostración sobre casos reales de terceros. Tres consecuencias para el proveedor: la ponderación sigue las obligaciones prioritarias del comprador (ciber y financiero en cabeza para los sectores regulados); la trazabilidad y la prueba oponible pesan mucho; la demostración debe mostrar la recopilación y la puntuación sobre proveedores reales.
El matiz que lo aclara todo
Para una estructura pequeña con pocos proveedores no críticos, un seguimiento mediante hoja de cálculo basta, y la licitación resulta desproporcionada. El método descrito aquí sirve a las organizaciones sujetas a NIS2, DORA o a una obligación de diligencia debida sobre su cadena de proveedores, donde la obligación es real y la prueba exigible.
Los errores que hacen perder una licitación de riesgo de proveedores
- Vender un cuestionario más: el comprador quiere cubrir el riesgo y probar la acción, no recopilar más.
- Dejar un punto ciego de riesgo: un tipo de riesgo de terceros no cubierto se nota en la rejilla.
- Descuidar la trazabilidad: el comprador debe poder probar a un regulador que ha actuado.
- Ignorar el multinivel: el riesgo suele venir del proveedor del proveedor.
- Hacer la demostración sobre casos ficticios: la demostración se gana sobre terceros reales del comprador.
En la plataforma Optivalue.ai, que edita este sitio, Optivalue Reach recuerda a los terceros y recopila sus respuestas, que la plataforma evalúa y puntúa, con una trazabilidad oponible; cada respuesta al cuestionario cita su fuente.
Preguntas frecuentes
¿Qué textos citar en una respuesta de gestión del riesgo de proveedores? NIS2 para la ciberseguridad, DORA para la resiliencia operativa de las entidades financieras, la obligación de diligencia debida sobre la cadena de proveedores para las grandes empresas, y la norma ISO/IEC 27036 para la seguridad en las relaciones con proveedores. Son referencias públicas que el comprador reconoce.
¿Cómo probar la cobertura del riesgo de principio a fin? Describiendo la gestión del riesgo ciber, financiero, operativo y extrafinanciero, y no solo el envío de cuestionarios. La cobertura es un criterio, no una promesa.
¿Qué es el riesgo multinivel, y por qué tratarlo? El riesgo multinivel es el que proviene de los proveedores de sus proveedores. Tratarlo muestra que la solución ve más allá del nivel inmediato, allí donde el comprador tiene más puntos ciegos.
¿Cómo responder a la exigencia de trazabilidad? Describiendo cómo cada evaluación, recordatorio y decisión queda fechada y documentada, de forma oponible ante un regulador o un auditor. La trazabilidad es a menudo el criterio que marca la diferencia.
¿Cómo prepararse para la demostración? Obteniendo casos reales de terceros del comprador y mostrando la recopilación, la puntuación y la trazabilidad sobre esos casos.
Trate un cuestionario de riesgo de proveedores real sobre sus propios documentos
Traiga una licitación real de gestión del riesgo de proveedores. Verá la cobertura de extracción de requisitos, las fuentes citadas por página y el análisis de brechas sobre su respuesta, no una demostración preparada.
Descubrir la plataforma Optivalue.ai · Reservar una demostración
Fuentes citadas
- Directiva (UE) 2022/2555 (NIS2), sobre seguridad de las redes y sistemas de información; en España, en curso de transposición (anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, todavía no en vigor).
- Reglamento (UE) 2022/2554 (DORA), sobre la resiliencia operativa digital del sector financiero (aplicable en la Unión Europea).
- Obligación de diligencia debida sobre la cadena de proveedores, según el derecho nacional aplicable en su mercado.
- ISO/IEC 27036, seguridad de la información en las relaciones con proveedores.